Entgegnung zur Stellungnahme des BMI

DR. ULRICH WIESNER
An den Deutschen Bundestag
- Ausschuss für Wahlprüfung, Immunität
und Geschäftsordnung Platz der Republik 1
11011 Berlin
WP145/05 – Zur Stellungnahme des Bundesministeriums des Inneren vom 03. Mai 2006
Mit Schreiben vom 22. Mai 2006 ist dem Einsprechenden die Stellungnahme des
Bundesministeriums des Inneren (BMI) zu den Wahleinsprüchen 76/05, 108/05 und 145/05
zugegangen. Den Ausführungen des BMI wird widersprochen. Der Einsprechende bekräftigt
seine im Schreiben vom 06. November 2005 geltend gemachten Einwände.
Entgegen der Auffassung des BMI werden eine öffentliche Kontrolle des Wahlgangs und
eine Überprüfung des Wahlergebnisses durch die eingesetzten Wahlcomputer wirksam
verhindert. Gleichwertige Kontrollmechanismen greifen nicht.
Die alleinige Sicherstellung des ordentlichen Wahlablaufs durch technische Maßnahmen und
die Vorverlagerung der Überprüfung dieser Maßnahmen in ein nichtöffentliches
Zulassungsverfahren durch das BMI und die Physikalisch-Technische Bundesanstalt (PTB)
ist unzulässig.
Selbst wenn die faktische Beschränkung der Kontrolle des ordentlichen Wahlablaufs auf PTB
und BMI zulässig wäre, stellt sie einen ordnungsgemäßen Wahlablauf nicht sicher, weil eine
systematische und fachgerechte Überprüfung der Manipulationssicherheit der eingesetzten
Geräte unterbleibt.
Der Einspruch des Beschwerdeführers ist deshalb auch mandatsrelevant, weil bei einer
Verletzung des Gebots der öffentlichen Stimmenauszählung nicht davon ausgegangen
werden kann, dass eine öffentliche Auszählung zu demselben Ergebnis geführt hätte.
Die Schlussfolgerungen des BMI aus den gerügten und vom BMI sachlich im wesentlichen
bestätigten sicherheitstechnischen Mängeln der Geräte sind naiv und unzutreffend. Die
eingesetzten Geräte erlauben Manipulationen des Wahlergebnisses, die unentdeckt bleiben
müssen.
1. Öffentlichkeit der Wahlhandlung
Das BMI bestätigt die Auffassung des Einsprechenden, dass das Öffentlichkeitsprinzip
Grundvoraussetzung für eine demokratische politische Willensbildung ist, und dem Schutz
vor Wahlfälschungen und Manipulationen dient.
Weiter führt das BMI aus, die Öffentlichkeit der Wahlhandlung diene als wichtiger
Integrationsfaktor und mache die Wahl als symbolisch-rituellen Akt erfahrbar. Im übrigen
Seite 1 von 15
diene das Öffentlichkeitsprinzip im wesentlichen der Kontrolle, dass nur wahlberechtigte
Personen an der Wahl teilnehmen und diese nur eine Stimme abgeben. Das
Öffentlichkeitsprinzip gelte jedoch nur eingeschränkt, da Wahlbeobachter in das
Wählerverzeichnis keinen Einblick nehmen dürften und auch die Identität der Wähler nicht
überprüfen könnten. Das Öffentlichkeitsprinzip sei auch bei der Briefwahl erheblich
eingeschränkt. Diese beiden Komponenten des Öffentlichkeitsprinzips (Integrationsfaktor
und Überprüfbarkeit der Kontrolle der Wahlberechtigung) würden bei der Abstimmung mit
Wahlcomputern nicht eingeschränkt, das Öffentlichkeitsprinzip sei deshalb bei der
Wahlhandlung nicht verletzt.
Bei seinen Ausführungen unterschlägt das BMI wesentliche Komponenten der öffentlichen
Kontrolle. Die Öffentlichkeit der Wahlhandlung ermöglicht über den vom BMI dargestellten
Sachverhalt hinaus eine Kontrolle darüber,
a) ob die Stimmabgabe geheim erfolgt,
b) ob alle von Wählern abgegebenen Stimmen tatsächlich und unverändert in die Urne
eingebracht werden,
c) ob alle Stimmen, die in die Urne eingebracht werden, tatsächlich von Wählern
abgegeben worden sind,
d) dass ein Auszählen der abgegebenen Stimmen erst zum Ende des Wahlgangs erfolgt,
e) dass die in der Urne befindlichen Stimmen nicht ausgetauscht oder verändert werden,
f) dass ausschließlich Stimmen ausgezählt werden, die sich am Ende des Wahlgangs in
der Urne befinden.
Diese Kontrollmöglichkeiten sind wesentlicher Bestandteil demokratischer Wahlen. Der
Einspruchführer ist erschrocken darüber, dass ausgerechnet die Wahlrechtsabteilung des BMI
das Prinzip der öffentlichen Kontrolle von Wahlen auf eine Art Demokratie-Folklore
reduziert, die ohnehin nur eingeschränkt zur Anwendung komme.
Keiner der Punkte b) bis f) ist beim Einsatz der Nedap-Geräte einer öffentlichen Kontrolle
zugänglich. Besonders schwerwiegend sind dabei das verdeckte Einbringen der Stimmen in
den Stimmenspeicher und die fehlende Kontrolle über die Integrität des Stimmenspeichers
während der Wahl, da diese eine Manipulation der Stimmen ermöglichen, die nicht entdeckt
werden kann.
Selbst die geheime Stimmabgabe nach Punkt a) war der Irischen Kommission für
elektronische Wahlen eine ausführliche Diskussion wert, sie ist also ebenfalls nicht
selbstverständlich gewährleistet. Die Punkte b) bis f) entziehen sich nicht nur der Kontrolle
des Wählers und der Öffentlichkeit, sie entziehen sich sogar der Kontrolle des
Wahlvorstandes. Damit liegt die alleinige Kontrolle über den ordentlichen Wahlablauf,
jedenfalls soweit es die Punkte b) bis f) betrifft, bei der zum Einsatz kommenden Software
und somit beim Hersteller der Wahlgeräte, und, falls die im Wahllokal zum Einsatz
kommende Software tatsächlich mit der zugelassenen Software übereinstimmt, auch bei der
PTB und beim BMI. Dies aber ist keine öffentliche Kontrolle, sondern genau das Gegenteil
davon: nämlich das systematische, apparative Verhindern jeder öffentlichen Kontrolle.
Soweit das BMI anführt, die öffentliche Kontrolle sei auch bei der Briefwahl eingeschränkt,
sei angemerkt, dass genau aus diesem Grunde die Briefwahl nach herrschender
Rechtsmeinung als Regelwahl nicht in Frage kommt. Die Briefwahl ist nur in
Ausnahmefällen zulässig, nämlich wenn der Wahlberechtigte sonst an der Ausübung seines
Seite 2 von 15
Stimmrechts gehindert würde1. Beim Einsatz der Wahlgeräte steht der Einschränkung des
Öffentlichkeitsprinzips kein entsprechender wahlrechtlicher Nutzen entgegen. Der Verweis
auf die Briefwahl ist deshalb im Bezug auf den Einsatz von Wahlgeräten nicht tragfähig.
Soweit das BMI anführt, das Öffentlichkeitsprinzip finde auch bei der Kontrolle der
Wahlberechtigung der Wähler seine Grenzen im Recht auf informationelle Selbstbestimmung
des Wählers, so kann daraus nicht abgeleitet werden, dass auf die öffentliche Kontrolle des
Wahlgangs beim Einsatz von Wahlgeräten im wesentlichen verzichtet werden darf. Nach
derselben Scheinlogik könnte man fälschlicherweise daraus die Möglichkeit ableiten, die
Wahlurne bei einer konventionellen Wahl hinter einem Vorhang aufstellen zu dürfen.
2. Öffentlichkeit der Stimmenzählung
Das BMI führt aus, der Ausdruck des Wahlergebnisses am Gerät sei öffentlich kontrollierbar.
Durch Gegenüberstellung der Zahl der Stimmabgabevermerke im Wählerverzeichnis mit dem
Wahlergebnis sei könne festgestellt werden, ob das Gerät alle Stimmabgaben korrekt erfasst
und addiert habe, da die Summe der vom Gerät erfassten gültigen und ungültigen Stimmen
mit der Zahl der im Wählerverzeichnis vermerkten Stimmabgaben übereinstimmen müsse.
Durch die dezentrale Ergebnisermittlung entfalle die Möglichkeit einer Manipulation der
Stimmenmodule. Die Überprüfung der Geräte durch die PTB gewährleiste außerdem die
Sicherheit der Wahlgeräte. Deshalb werde bei der Wahl mit Wahlgeräten mindestens eine
solche Sicherheit erreicht wie bei der Wahl mit Stimmzetteln.
Falls das BMI der Auffassung ist, der öffentliche Ausdruck des Wahlergebnisses am
Wahlcomputer stelle eine Öffentlichkeit der Stimmauszählung her, so ist diese Auffassung
unzutreffend. Der Ausdruck des Ergebnisses am Wahlgerät steht der Ergebnisverkündung,
nicht der Ergebnisermittlung gleich. Der Zählvorgang selbst findet im Inneren des Gerätes
statt und entzieht sich der Kontrolle sowohl des Wahlvorstandes als auch der Öffentlichkeit.
Insbesondere ermöglicht der öffentliche Ausdruck des Ergebnisses nicht eine Überprüfung,
ob die abgegebenen Stimmen vom Gerät korrekt erfasst und addiert worden sind. Auch die
Gegenüberstellung der Zahl der im Wählerverzeichnis als abgegeben vermerkten Stimmen
mit der Summe der gezählten Stimmen stellt nicht sicher, dass richtig gezählt worden ist.
Eine manipulierte Software könnte das Ergebnis durchaus so modifizieren, dass sich die
Summe der gezählten Stimmen nicht verändert. Da die Stimmen im Wahlgerät nicht in
verkörperter Form vorliegen, müssen für eine solche Manipulation (anders als bei einer
Urnenwahl) auch nicht die tatsächlich abgegebenen Stimmen beiseite geschafft, sondern
lediglich im Stimmenspeicher überschrieben werden. Deshalb muss eine solche Manipulation
unentdeckt bleiben und kann auch durch Ausdruck oder Nachzählen der im Stimmenspeicher
abgelegten Stimmen nicht mehr nachgewiesen werden.
Das BMI führt weiter aus, auch bei der Urnenwahl sei die öffentliche Kontrolle der
Stimmauszählung praktisch nicht möglich, weil ein Beobachter nicht erfassen könne, ob
tatsächlich richtig gezählt werde. Es sei auch nicht notwendig, die öffentliche Kontrolle bei
Urnenwahlen stärker zur Geltung zu bringen, da bei der Auszählung durchgängig das
Mehraugenprinzip gelte, so dass das Wahlergebnis durchgängig von mehreren Mitgliedern
des Wahlvorstandes kontrolliert werde. Auch würden die Stimmzettel aufbewahrt und ließen
sich im Zweifelsfall erneut auszählen.
1
siehe z.B. Wolfgang Schreiber, Handbuch des Wahlrechts zum Deutschen Bundestag. Kommentar zum
Bundeswahlgesetz, 7. Auflage, Köln (2002), §36, Rdnr. 3
Seite 3 von 15
Die Auffassung des BMI, eine öffentliche Kontrolle der Stimmzählung sei auch bei der
konventionellen Wahl mit Stimmzetteln kaum möglich, entbehrt jeder Realität. Die
öffentliche Stimmauszählung nach dem Mehraugenprinzip verwirklicht im Gegenteil einen
sehr effektiven Schutz vor Manipulationen und eine sehr hohe Transparenz bei der
Ergebnisfeststellung. Eine mandatsrelevante Manipulation der Stimmauszählung ist dadurch
praktisch ausgeschlossen, und könnte wegen der Vielzahl der erforderlichen Mitwisser auch
nicht unentdeckt bleiben.
Das BMI zählt in diesem Zusammenhang wichtige Kontrollmechanismen der
konventionellen Stimmzettelwahl auf, obwohl diese beim Einsatz der Wahlcomputer im
wesentlichen ausgehebelt sind: So greifen gerade das Mehraugenprinzip und die Möglichkeit
des Nachzählens bei den Wahlcomputern nicht. Der Wahlvorstand ist im Gegenteil von der
Kontrolle der ordnungsgemäßen Ergebnisermittlung ebenso ausgeschlossen wie
Öffentlichkeit und Wähler. Stattdessen ist durch Manipulation der zum Einsatz kommenden
Software an zentraler Stelle eine sehr effektive und großflächige Wahlmanipulation möglich,
ohne dass dazu eine große Zahl von Mitwissern erforderlich ist oder dass eine solche
Manipulation von Wählern, Wahlvorständen oder der Öffentlichkeit entdeckt werden könnte.
Deshalb ist auch der Einwand des BMI unerheblich, dass die Geräte durch die PTB geprüft
und deshalb sicher sein. Das nichtöffentliche Prüfverfahren nämlich beschränkt die
Beurteilung der Sicherheit der Wahlgeräte und damit der Integrität der Wahl auf wenige
Personen. Dies widerspricht dem Grundgedanken der öffentlichen Kontrolle und ist bei
demokratischen Wahlen nicht akzeptabel.
3. Öffentlichkeit des Zulassungsverfahrens
Das Zulassungsverfahren der Wahlgeräte und die Prüfung des Baumusters durch die PTB
sind integraler Bestandteil der Wahlvorbereitung. Die Prüfung der Geräte sowie die
Ergebnisse der Prüfung haben deshalb ebenso öffentlich zu sein, wie §10 BWG dies für die
Arbeit der Wahlvorstände und Wahlausschüsse festlegt.
Das BMI führt aus, dass die Öffentlichkeit keinen Einblick in die Prüfergebnisse der PTB
oder den Quellcode nehmen müsse, da der Öffentlichkeitsgrundsatz bei Wahlgeschäft und
Wahlhandlung nicht verletzt werde. Selbst wenn der Öffentlichkeitsgrundsatz verletzt wäre,
sei eine Veröffentlichung des Quellcodes der Wahlgerätesoftware unzulässig, weil das
Informationsinteresse der Öffentlichkeit hinter dem Schutz des Geschäftsgeheimnisses des
Herstellers zurückzustehen habe.
Bei der Transparenz des Zulassungsverfahrens und der Offenlegung der
Konstruktionsmerkmale der Wahlgeräte geht es jedoch nicht nur um ein allgemeines
Informationsinteresse. Es geht vielmehr um die Möglichkeit, beurteilen zu können, ob bei
den Wahlen demokratische Prinzipien eingehalten werden. Da die eingesetzten
Wahlcomputer keine geräteunabhängige Überprüfbarkeit der Wahl ermöglichen, ist eine
Offenlegung der Konstruktionsmerkmale, des Quellcodes und der Prüfergebnisse die einzige
Möglichkeit, die Integrität der Wahl beurteilen zu können. Hier haben die Interessen des
Herstellers hinter dem Demokratieprinzip zurückzustehen.
Im übrigen bedeutet eine Offenlegung der technischen Details nicht, dass der Hersteller in
seinen urheberrechtlichen Ansprüchen beeinträchtigt wird oder dass Dritte
Konstruktionspläne oder Quellcode für die Konstruktion eigener Geräte verwenden dürften.
So ist die Offenlegung von Konstruktionsmerkmalen z.B. auch im Patentverfahren
erforderlich, obwohl dieses Verfahren ja gerade den Schutz des geistigen Eigentums des
Seite 4 von 15
Urhebers zum Ziel hat. Auch steht es durchaus im Ermessen des Gesetzgebers oder des BMI
als Verordnungsgeber der BWahlGV, von den Herstellern von Wahlcomputern eine
Offenlegung der Konstruktionsmerkmale und des Quellcodes zu fordern. Schließlich wird
kein Gerätehersteller gezwungen, sich um eine Bauartzulassung für ein Wahlgerät zu
bewerben.
Das BMI hat auch in der Vergangenheit missbräuchlich den Schutz von Firmengeheimnissen
des Herstellers angeführt, um Einblick in das Zulassungsverfahren der Wahlgeräte zu
verhindern. Per E-Mail vom 06.09.2005 hat der Einsprechende beim BMI um die Zusendung
der PTB-Prüfberichte für die zur Bundestagswahl 2005 zugelassenen Nedap-Geräte gebeten.
Dies wurde vom BMI am 15.09.2005 mit der Begründung abgelehnt, das BMI nehme eine
Veröffentlichung der PTB-Prüfberichte zum Schutz des Firmen-Know-hows des Herstellers
nicht vor.
Inzwischen ist einer der Prüfberichte2 über ein von einem Fachjournalisten betriebenes
Auskunftsbegehren gemäß Informationsfreiheitsgesetz (IFG) zugänglich geworden. Dieser
Prüfbericht enthält keinerlei Informationen, die als geistiges Eigentum des Herstellers zu
werten sind. Zu dieser Einschätzung kommt offenbar auch die PTB, die den Prüfbericht im
Gegensatz zu den der Prüfung zugrunde liegenden Unterlagen im Rahmen des IFGVerfahrens herausgegeben hat.
Das Prüfverfahren der PTB hat als Teil der Wahlvorbereitung vollständig öffentlich zu sein.
Die Nichtveröffentlichung der Prüfberichte sowie die fortgesetzte Geheimhaltung der der
Prüfung zugrunde liegenden Unterlagen stellt daher einen Wahlfehler dar.
Das BMI behauptet außerdem, die Geheimhaltung der technischen Details der Wahlgeräte
und des Quellcodes der Wahlgerätesoftware trage zur Sicherheit des Wahlgerätes und damit
zur Sicherheit der Wahl bei. Der Einsprechende sieht in dieser Einschätzung einen Beleg für
die Richtigkeit der Feststellung der Irischen Kommission für Elektonische Wahlen, das
Sicherheitskonzept des Systems beruhe überwiegend auf dem aus heutiger Sicht
unakzeptablen Konzept Security by Obscurity3, also dass Sicherheit allein durch das
Geheimhalten von Konstruktionsmerkmalen erzielt wird.
Ein sicheres Softwaresystem ist auf die Geheimhaltung seiner Konstruktionsmerkmale nicht
angewiesen. Sicherheit wird bei Softwaresystemen heute durch die Anwendung allgemein
anerkannter Sicherheitstechnologien erreicht. Dies gilt z.B. für den Einsatz von
Verschlüsselungstechnologien im Internet, bei denen nicht die eingesetzte Technologie
geheim gehalten wird, sondern die verwendeten Schlüssel.
Sicherheit durch Geheimhaltung von Konstruktionsmerkmalen führt dagegen häufig dazu,
dass die Sicherheit einer Software über einen längeren Zeitraum unbemerkt kompromittiert
werden kann.4 Sie schützt nicht vor Insider-Angriffen und begünstigt das Vertuschen
erkannter Mängel, um nach außen den Anschein fortbestehender Sicherheit zu wahren. Das
BMI wird offenbar durch die PTB dahingehend beraten, die Nedap-Geräte seien zwar sicher,
für die Gewährleistung der Sicherheit sei aber eine Geheimhaltung der Sicherheitsarchitektur
2
Physikalisch-Technische Bundesanstalt: Prüfbericht - Baumusterprüfung eines Wahlgerätes, Wahlgerät ESD1,
Hardware-Version: 01.03 und 01.04, Berlin, 12. Mai 2004
3
Charlie Daly, David Gray, Michael Scott, Renaat Verbruggen: Review of Hardware, Software Security and
Testing, in: Commission on Electronic Voting, First Report on the Secrecy, Accuracy and Testing of the
Chosen Electronic Voting System, Dublin (2004); Appendix 2B, S. 129, zitiert nach
www.cev.ie/htm/report/first_report.htm
4
Übertragen auf die Einbruchsicherheit eines Hauses entspricht der Ansatz der Security by Obscurity dem
Versuch, die offene Balkontür hinter einem Vorhang zu verbergen, statt diese zu schließen und Türen mit
sicheren Schlössern zu versehen.
Seite 5 von 15
der Geräte erforderlich. Dies bestärkt den Einsprechenden in seiner Einschätzung, dass die
PTB mit der Begutachtung der Software-Sicherheit fachlich überfordert ist.
Im übrigen führt die Nichtöffentlichkeit des Quellcodes nicht automatisch dazu, dass ein
Angreifer diesen nicht beschaffen kann:
•
Erstens bietet die Geheimhaltung des Quellcodes keinen ausreichenden Schutz vor
unbefugtem Zugriff. So fand sich etwa der Quellcode der Wahlgeräte des USamerikanischen Herstellers Diebold im Jahre 2003 plötzlich im Internet wieder,
obwohl dieser vom Hersteller geheim gehalten worden war. Im allgemeinen ist jedoch
nicht davon auszugehen, dass jemand, der sich den Quellcode zum Zweck der
Wahlmanipulation verschafft hat, davon die Öffentlichkeit in Kenntnis setzt.
•
Zweitens liegt der Quellcode nicht, wie vom BMI behauptet, ausschließlich beim
Hersteller und der PTB vor, da die Geräte auch in anderen Ländern zugelassen sind
und eingesetzt werden. Auch wenn die in anderen Ländern eingesetzte Software nicht
vollständig mit der deutschen Softwareversion übereinstimmt, ist davon auszugehen,
dass die in diesen Ländern eingesetzte Software der deutschen Version zumindest in
weiten Teilen so ähnlich ist, dass daraus eine manipulierte Version für Deutschland
programmiert werden könnte.
•
Drittens ist ein Vorliegen des Quellcodes für eine Manipulation der Software nicht
unbedingt notwendig, da ein Angriff auf die Integrität der Software auch mit anderen
Methoden, etwa durch Dekompilieren der ausführbaren Programme oder durch
Reverse Engineering erfolgen kann.
Ob solche Angriffe erfolgreich sein können, hängt von der Motivation des Angreifers ab und
dem Aufwand, den dieser zu treiben bereit ist.
Eine Geheimhaltung der Prüfunterlagen und Prüfergebnisse trägt also nicht zur Sicherheit der
Wahlgeräte und des Wahlablaufs bei. Sie ist auch nicht zulässig, da sich die Öffentlichkeit
des Zulassungsverfahrens zwingend aus den wahlrechtlichen Regelungen ergibt.
4. Technische Sicherheit
Das BMI bestätigt die Auffassung des Einsprechenden, dass ein Austausch der auf den
Nedap-Geräten installierten Software möglich ist und unentdeckt bleiben kann. Es bestätigt
auch, dass die dazu auszutauschenden Speicherbausteine (EPROMS) nur durch eine
Versiegelung des Herstellers gesichert sind.5 Als zutreffend bezeichnet das BMI auch die
Auffassung des Einsprechenden, dass die vom Gerät angezeigten Softwareversionsnummer
und Prüfnummern nicht geeignet sind sicherzustellen, dass die installierte Software mit der
von der PTB zugelassenen Software identisch ist. Weiter gibt das BMI an, dass zu einer
Überprüfung der Authentizität/Echtheit des Gerätes die EPROMS aus dem Gerät entnommen
und mit unabhängigen Hilfsmitteln geprüft werden müssten. Diese Auffassung wird vom
Einsprechenden geteilt.
Das BMI führt an, die durch die BWahlGV gebotene eindeutige Identifikation der
installierten Software bedeute nicht, dass eine Überprüfung der Echtheit der eingesetzten
Software erforderlich sei, sondern nur, dass die Software sich identifizieren müsse. Diese
Auffassung ist unzutreffend und an den Haaren herbeigezogen. Das Wort Identifikation
5
Diese Siegel entsprechen solchen, die von Herstellern von Unterhaltungselektronik verwendet werden, um bei
Garantiefällen ein Öffnen des Gerätes durch den Nutzer erkennen zu können. Solche Siegel stellen keinen
angemessenen Schutz vor einer Manipulation der Wahlgeräte dar.
Seite 6 von 15
bedeutet, dass überprüft wird, ob jemand oder etwas identisch mit etwas ist, und nicht nur
vorgibt, mit etwas identisch zu sein.6 Nur eine Überprüfung der tatsächlichen Identität der
Software kann zur Sicherheit der Wahlgeräte und damit zum ordentlichen Wahlablauf
beitragen. Eine Kontrolle einer von der Software behaupteten Identität dient allenfalls dem
subjektiven Sicherheitsempfinden des Prüfers. Es ist nicht erkennbar, dass das BMI die
Bedeutung der Softwareidentifikation für die Integrität der Wahl verstanden hat.
Das BMI führt aus, die auf den Geräten installierte Software enthalte lediglich Informationen
über den generellen Ablauf der Wahl, während die Daten der Wahlvorschläge und andere
konkrete Daten auf dem Speichermodul gespeichert würden. Das Speichermodul werde von
den Gemeindebehörden programmiert und erst kurz vor dem Wahlgang in das Gerät
eingebracht. Da sich die Software zu diesem Zeitpunkt bereits im Gerät befinde, müsse eine
manipulierte Software deshalb blind entscheiden, wie z.B. die Stimmen zwischen Bewerber 3
und 4 oder Liste 7 und 8 aufgeteilt werden sollen. Deshalb sei eine Manipulation der
Software unsinnig.
Diese Ausführung des BMI ist aus mehreren Gründen falsch. Selbst die nicht manipulierte
Wahlgeräte-Software greift während des Wahlgangs auf die Speichermodule zu und liest die
Zuordnung der Parteien zu den einzelnen Tasten des Wahlgerätes aus. Dies geschieht, damit
dem Wähler seine Auswahl auf dem Display des Gerätes angezeigt werden kann. Eine
manipulierte Software kann deshalb die im Speichermodul hinterlegte Tastenbelegung
durchaus ermitteln. Deshalb muss bei der Manipulation der Software lediglich der Name der
Partei bekannt sein, die begünstigt werden soll. Eine Manipulation der Wahlsoftware muss
somit keinesfalls blind erfolgen. Der Einsprechende ist erschrocken über die technische
Naivität, die in dem vorgebrachten Argument zum Ausdruck kommt.
Selbst wenn eine manipulierte Software die Parteinamen nicht aus dem Speichermodul
auslesen könnte, wären die Ausführungen des BMI unsinnig, weil die Gemeindebehörden die
Reihenfolge der Kandidaten und Listen nicht frei wählen können. Die Reihenfolge ergibt sich
zwingend aus §30 BWG, der die Reihenfolge der Wahlvorschläge auf den amtlichen
Stimmzetteln regelt, sowie aus §8 Abs. 2 BWahlGV, der festlegt, dass die Darstellung der
Wahlvorschlägen an den Wahlgeräten den amtlichen Stimmzetteln zu folgen hat. Eine
manipulierte Software könnte deshalb selbst dann schon lange vor der Wahl „konfiguriert“
werden, wenn die Software die Konfiguration der Speichermodule nicht ermitteln könnte.
Das unzutreffende Argument der Unsinnigkeit Softwaremanipulation wird im Schriftsatz des
BMI mehrfach wiederholt, z.B. im Zusammenhang mit der Sachherrschaft der Wahlorgane
über die Wahl. Es ist die Kernaussage des BMI zur technischen Sicherheit der Geräte.
Die Ausführungen des BMI zu diesem Punkt zeigen, dass BMI und PTB die
Manipulierbarkeit der Wahlgeräte systematisch unterschätzen. Dabei kann dem BMI nicht
vorgeworfen werden, dass es von der PTB schlecht beraten wird, wohl aber, dass es die durch
den Bericht der irischen Commission on Electronic Voting bekannt gewordenen
Sicherheitsmängel der Nedap-Geräte nicht zum Anlass genommen hat und weiterhin nicht
zum Anlass nimmt, hierzu eine unabhängige Einschätzung einzuholen. Dabei verletzt das
BMI die ihm gebotene Sorgfaltspflicht in erheblichem Maße.
6
Der Unterschied zwischen behaupteter und tatsächlicher Identität wird anschaulich im Märchen vom Wolf und
den sieben Geißlein erklärt. Dort wird auch dargestellt, welche Risken die Verwechslung der beiden
Sachverhalte birgt.
Seite 7 von 15
5. Verifizierbares Protokoll
In seinem Einspruch hat der Beschwerdeführer das Fehlen eines wirksamen
Kontrollmechanismus moniert, der die Integrität des Wahlgangs sicherstellt. Bei der
Urnenwahl kann der Wähler sicher sein, dass seine Stimme unverändert in die Urne
eingebracht wird, da er sie selbst dort einwirft. Die öffentliche Kontrolle des Wahlgangs und
der Stimmauszählung stellen sicher, dass ein Austausch oder eine Manipulation der Stimmen
in der Urne nicht unbemerkt bleiben können und dass die Stimmen anschließend
ordnungsgemäß gezählt werden. Eine Überprüfung des Wahlergebnisses ist durch
Nachzählen der abgegebenen Stimmen möglich. Die Kontrollierbarkeit des Wahlgangs und
der Stimmenauszählung und die Überprüfbarkeit ergeben sich zwingend aus den verfassungsund wahlrechtlichen Bestimmungen.
Als Beispiel, nicht als einzige Möglichkeit, wie äquivalente Kontrollmechanismen bei
Wahlgeräten implementiert werden können hat der Beschwerdeführer ein vom Wähler
einsehbares Papierprotokoll (Voter-Verifiable Paper Audit Trail, VVPAT) angeführt sowie
die vom Caltec/MIT Voting Technology Project geforderte apparative Trennung von
Stimmerzeugung und Stimmzählung7.
Das BMI führt in seiner Stellungnahme zahlreiche Probleme an, zu denen es bei der
Implementierung eines VVPAT kommen kann. Das BMI zieht daraus die Konsequenz, auf
eine Kontrollierbarkeit des Wahlergebnisses könne verzichtet werden. Die Geräte seien
ohnehin sicher.
Nach dieser Argumentation könnte man beim Einsatz von Wahlgeräten grundsätzlich auf
jede Wahlprüfung verzichten. Selbst wenn durch das Prüfverfahren bei der PTB die
Sicherheit der Wahlgeräte gewährleistet wäre, was der Einsprechende bestreitet, geht die
Argumentation des BMI ins Leere: Eine geräteunabhängige Verifizierbarkeit der vom Wähler
getroffenen Auswahl ist gerade deshalb erforderlich, weil Wähler und Öffentlichkeit die
Sicherheit und Vertrauenswürdigkeit der Wahlgeräte selbst nicht einschätzen können. Es ist
dem Wähler auch nicht zuzumuten, sich hierbei auf die Einschätzung der PTB zu verlassen.
Eine Delegation der Kontrolle von Wahlen an die PTB und eine apparative Vereitelung der
Überprüfbarkeit des Wahlergebnisses widerspricht dem Grundgedanken des
Öffentlichkeitsprinzips und den entsprechenden verfassungs- und wahlrechtlichen
Regelungen.
Das BMI verweist auf eine nicht näher bezeichnete Studie des Massachusetts Institute of
Technology, die ergeben habe, dass der größte Teil der Wähler den VVPAT ungelesen
bestätige. Vielleicht handelt es sich bei dieser Studie um eine Arbeit von Sharon B. Cohen, in
der unterschiedliche Audit-Möglichkeiten miteinander verglichen werden8, oder eine darauf
aufbauende Arbeit derselben Arbeitsgruppe. Diese Studie kommt zu dem Schluss, dass
Audit-Verfahren bei Wahlmaschinen sorgfältig gestaltet sein müssen, wenn sie zur Sicherheit
des Wahlgerätes beitragen sollen. Insbesondere rät die Studie davon ab, als Kontrollverfahren
eine bestimmte Technologie (wie den VVPT) gesetzlich vorzuschreiben, bevor alternative
Audit-Möglichkeiten ausreichend verstanden sind.
Die Studie stellt jedoch an keiner Stelle die Notwendigkeit in Frage, dem Wähler eine
Überprüfung seiner Auswahl zu ermöglichen und eine nachträgliche Kontrollierbarkeit des
7
California Institute of Technology and The Massachusetts Institute of Technology (Hrsg.): Report of the
Caltech/MIT Voting Technology Project: Voting - What Is, What Could Be (2001), S. 58 ff
8
Sharon B. Cohen: Auditing Technology for Electronic Voting Machines, Diplomarbeit, Massachusetts Institute
of Technology (2005), zitiert nach www.vote.caltech.edu/reports/cohen-thesis_5-05.pdf
Seite 8 von 15
Wahlergebnisses sicherzustellen. Falls das BMI die Arbeit nicht nur vom Hörensagen kennt,
verzichtet es vermutlich aus diesem Grund auf eine genaue Quellenangabe.
Falls das BMI die Aussage ernst meint, eine Anzeige der Auswahl des Wählers auf einem
Papierausdruck würde vom Wähler im wesentlichen ignoriert und könne deshalb nicht zur
Sicherheit des Wahlgerätes beitragen, so muss dieses Argument auch für die elektronische
Anzeige der Nedap-Geräte gelten. Folgt man der Argumentation des BMI, so sind auch
Angriffe gegen die Wahlgeräte erfolgsversprechend, die auf einer falschen Darstellung der
Wahlvorschläge auf dem Tastenfeld der Geräte beruhen (etwa durch Vertauschen der
Wahlvorschläge durch Überkleben oder Austausch der Gerätestimmzettel). Zu einer solchen
Manipulation sind keinerlei besondere technische Kenntnisse notwendig. Eine solche
Manipulation ist im Schutze der Wahlkabine sogar vor den Augen des Wahlvorstandes
möglich.
Auf die Möglichkeit einer apparativen Trennung von Stimmerzeugung und Stimmzählung
geht das BMI nicht ein. Eine solche Trennung von Stimmerzeugung und Stimmzählung in
separaten Geräten ist eine der wesentlichen Forderungen des gemeinsamen Voting
Technology Projects des California Institute of Technology und des vom BMI in seiner
Stellungnahme so hochgelobten Massachusetts Institute of Technology. Das Hauptargument
einer solchen Trennung ist die dabei zurückbleibende verkörperte Form der tatsächlich vom
Wähler abgegebenen Stimme. Eine solche Trennung von Stimmerzeugung und
Stimmzählung lässt sich zum Beispiel durch den Einsatz von Stimmen-Druckern und Scannern verwirklichen. Es darf jedoch bezweifelt werden, ob solche Systeme überhaupt
Wahlgeräte im Sinne der auf die BWahlGV wären: Dazu ist diese ist zu sehr auf die NedapGeräte zugeschnitten.
6. Prüfverfahren
Das BMI führt aus, die PTB verfüge über langjährige Erfahrung im Umgang mit
Wahlgeräten. Dies trifft zu, soweit damit mechanische oder elektromechanische Wahlgeräte
gemeint sind. Die Nedap-Geräte sind jedoch die ersten und bisher einzigen Wahlcomputer,
die als Wahlgeräte in Deutschland zugelassen sind. Damit kann die PTB hinsichtlich
Wahlcomputern allenfalls auf langjährige Erfahrung mit Nedap-Geräten verweisen. Für die
Nedap-Geräte haben jedoch niemals objektive, von vornherein festgelegte Prüfkriterien
bestanden. Im Gegenteil, bei ihrer Novellierung im Jahr 1999 wurde die BWahlGV für die
Nedap-Geräte „passend gemacht“:
Die Novellierung der BWahlGV vom 20. April 1999 (BGBl. I S.749) ist jedenfalls
parallel zur bereits laufenden erstmaligen Prüfung der Nedap-Geräte durch die PTB
(Prüfbericht vom 8. September 19989) erfolgt. Mit Schreiben vom 30. März 1999
leitete das BMI dem Bundeswahlleiter vorab den Entwurf eines zweiten Prüfberichtes
zu10, aufgrund dessen es die Bauartzulassung und Verwendungsgenehmigung zur
Europawahl am 13. Juni 1999 beabsichtigt, und bittet um die Mitteilung „etwaiger
Bedenken“. In dem Schreiben heißt es, „sobald die Änderungen der BWahlGV
wirksam geworden sind, wird die PTB den Prüfbericht um die entsprechenden
Angaben im 'Rechtsbezug' ergänzen und ausfertigen“11. Die Firma Nedap beantragt
die Bauartzulassung für das Wahlgerät ESD-112 für Bundestags- und Europawahlen
9
Aktenzeichen PTB-8.33-PA-WLG-17/97
Aktenzeichen PTB-8.33-WL-P-102/98, endgültige Fassung vom 29. April 1999
11
Hervorhebung des Wortes „Rechtsbezug“ im BMI-Schreiben
12
Version 1.02 mit Steuerungsprogramm Version 2.02
10
Seite 9 von 15
beim BMI am 26. April 1999; der zugehörige PTB-Prüfbericht13 datiert vom 29. April
1999. Es muss deshalb davon ausgegangen werden, dass die Richtlinien zur Bauart
von Wahlgeräten (Anlage 1 zu §2 der BWahlGV) auf die Nedap-Geräte zugeschnitten
worden sind.14
Wie vom BMI ausgeführt, bildet die Richtlinie zur Bauart von Wahlgeräten die alleinige
Prüfungsgrundlage der PTB. Eine weitergehende fachliche Bewertung durch das BMI erfolgt
nicht, ein positives Prüfungsergebnis der PTB bewirkt faktisch die unmittelbare Zulassung
der Geräte durch das BMI.
Damit werden höherrangige Wahlrechtsgrundsätze, deren Einhaltung durch die Richtlinien
zur Bauart von Wahlgeräten nicht vorgeschrieben werden, allenfalls zufällig eingehalten. Zu
solchen Wahlrechtsgrundsätzen gehören das von Art. 20 GG implizierte und in §§ 10 und 31
BWG konkretisierte Prinzip der öffentlichen Kontrolle sowie das von Art 41 GG implizierte
Prinzip der Überprüfbarkeit des Wahlergebnisses. Der Beschwerdeführer hat in seinem
Einspruch die Verletzung dieser Grundsätze beim Einsatz der Wahlgeräte moniert. Hier wird
über eine Anlage zu einer Verordnung ein Sonderrecht eingeführt.
Der Prüfbericht der PTB vom 12. Mai 2004, der der Zulassung der Nedap Software-Version
3.08 zugrunde liegt, ist dem Einsprechenden inzwischen zugänglich geworden. Der
Prüfbericht dokumentiert auf den Seiten 20 bis 33, dass sich die Prüfung der Geräte strikt an
dem Wortlaut der Richtlinie zur Bauart von Wahlgeräten sowie am WStatG orientiert. Der
Prüfbericht enthält keinen Hinweis darauf, dass eine systematische Überprüfung der
Softwaresicherheit anhand zuvor festgelegter Kriterien erfolgt ist.
So beschränkt sich der Prüfbericht unter Abschnitt 5.1 (Prüfung der Bauarteigenschaften)
unter Ziffer 4 bei der Beurteilung, ob das Wahlgerät dem allgemeinen Stand der Technik
entspricht und unter Beachtung der für Systeme mit schwerwiegenden Schadensfolgen bei
Fehlverhalten (hohe Kritikalität) anerkannten Regeln der Technik aufgebaut ist, im
wesentlichen auf eine Diskussion der Hardware-Architektur15. Zur eingesetzten Software
beschränkt sich die PTB auf die Aussage, „Die Steuerungs-Software ist ebenfalls nach
anerkannten Regeln erstellt, aufgebaut und dokumentiert.“ Ein Hinweis auf eine detaillierte
13
Aktenzeichen PTB-8.33-WL-P-102/98
Die Mitgestaltung der BWahlGV durch die PTB parallel zur erstmaligen Prüfung der Nedap-Geräte ist auch
im Jahresbericht der PTB für das Jahr 1998 dokumentiert. Dort heißt es: „Im Berichtszeitraum wurde erstmals
eine Bauartprüfung eines softwaregesteuerten Wahlgerätes im Fachbereich ‚Metrologische
Informationstechnik’ durchgeführt. Da weder Anforderungen an die Qualität der eingesetzten Software noch
Verfahren hinsichtlich ihrer Prüfung existierten, mußte zunächst ein entsprechender Anforderungskatalog
erstellt und hieraus ein Prüfkonzept abgeleitet werden. Besondere Anforderungen an das Wahlgerät bestehen
hinsichtlich Ausfall- und Absturzsicherheit sowie des Manipulationsschutzes. Das vom Bundesministerium
des Inneren und vom Bundeswahlleiter befürwortete Prüfkonzept hat sich bei der Prüfung des Wahlgerätes
bewährt, die mit einem Audit der Softwareentwicklungsprozesse bei der Herstellerfirma erfolgreich
abgeschlossen werden konnte. Aufgrund des positiven Prüfergebnisses, welches vom Bundesministerium des
Inneren und vom Bundeswahlleiter anerkannt wurde, konnte das Wahlgerät bereits bei der Bundestagswahl im
September dieses Jahres probehalber eingesetzt werden. Eine Bauartprüfung für eine zukünftige Zulassung des
Wahlgerätes für andere Wahlen, beispielsweise Europawahlen, erfordert nur eine geringfügige Modifikation
des Prüfkonzeptes. Die bei der Bauartprüfung des Wahlgerätes gesammelten Erfahrungen einschließlich des
Anforderungskatalogs an die Qualität der eingesetzten Software werden bei der anstehenden Novellierung der
Bundeswahlgeräteverordnung berücksichtigt werden.“ (Physikalisch-Technische Bundesanstalt: Jahresbericht
1998, Braunschweig und Berlin (1999) , S. 90, zitiert nach
http://www.ptb.de/de/publikationen/jahresberichte/jb98/148.pdf)
15
Diskutiert werden z.B.
- die Qualität der verwendeten Bauelemente und der elektromagnetischen Abschirmung,
- der Einfluss von Störspannungen und der Unterbrechung der Versorgungsspannung sowie
- die Störsicherheit von Schreibzugriffen auf den Speichermodulen.
14
Seite 10 von 15
Bewertung der Software, die dabei eingesetzten Methoden oder die zugrunde liegenden
„anerkannten Regeln“ findet sich nicht. Der Einsprechende hält es für ausgeschlossen, dass
die PTB eine systematische Bewertung der Software-Sicherheit vorgenommen, aber nicht im
Prüfbericht dokumentiert hat.
Der Prüfbericht stellt unter Ziffer 2 zur geforderten Identifizierbarkeit der Software
ausschließlich fest:
„Am Wahlgerät werden nach entsprechender Betätigung die gespeicherten Daten der
Hardware- und der Software-Version sowie zwei Checksummen des enthaltenen
Programmspeichers zum Vergleich mit den Angaben auf dem Typenschild und der
Baugleichheitserklärung des Herstellers angezeigt und ausdruckt; der Ausdruck
enthält zusätzlich die individuelle ID- Nummer des einzelnen Wahlgerätes.“
In seiner Stellungnahme bestätigt das BMI die Auffassung des Einsprechenden, dass die
Anzeige der Softwareversion sowie die Prüfsummen nicht geeignet sind, um die Echtheit der
Software sicherzustellen. Wörtlich stellt das BMI fest: „Sie schützen vor unbeabsichtigten
Veränderungen, aber nur beschränkt vor beabsichtigten Manipulationen.“ (S. 12)
In dieser Frage kommt die PTB in ihrem Prüfbericht noch zu einem völlig anderen Ergebnis:
Zur Anforderung, dass Veränderungen des technischen Aufbaus nicht unbemerkt bleiben,
führt die PTB im Prüfbericht unter Ziffer 5 aus:
„Siehe Anmerkungen zu (2)“
Zur Anforderung, dass Veränderungen der installierten Software durch unbefugte Dritte nicht
unbemerkt bleibt, führt die PTB im Prüfbericht unter Ziffer 6 aus:
„Siehe Anmerkungen zu (2)“
Im Prüfbericht der PTB wird die Manipulationssicherheit der Geräte also ausschließlich an
die Anzeige der Prüfsummen geknüpft. Diese knappen und sachlich unzutreffenden Verweise
belegen, dass eine detaillierte, sachkundige Bewertung der Manipulationssicherheit der
Nedap-Geräte im Rahmen des Zulassungsverfahrens nicht stattgefunden haben kann. Dies
erklärt auch, warum die PTB in ihrem Prüfbericht zu einem Ergebnis kommt, dass von dem
der irischen Commission on Electronic Voting so sehr abweicht.
Die vom BMI angeführte Akkreditierung der PTB als Softwareprüfstelle schützt die PTB also
nicht vor einer sachlich falschen Bewertung der Softwaresicherheit. Die Akkreditierung ist
auch kein hinreichender Grund, die Ergebnisse des Irischen Kommissionsberichts
fortwährend zu ignorieren. Die Akkreditierung hat die PTB übrigens erst im Jahre 2001
erworben16, also drei Jahre nach der Entwicklung des Prüfkonzepts, der erstmaligen Prüfung
der Nedap-Geräte und der Mitwirkung der PTB bei der Gestaltung der Richtlinien für die
Bauart von Wahlgeräten. Es entsteht der Eindruck, die PTB habe ihre Erfahrungen bei der
Softwareprüfung erst im Umgang mit den Nedap-Geräten erworben. Das Sicherstellen der
Integrität von Wahlgeräten ist jedoch als Trainingsgebiet in Sachen Softwarebeurteilung nicht
geeignet.
Die Softwaresicherheit der Wahlgeräte ist eine wesentliche Voraussetzung für eine Integrität
der Wahl. Sie ist nicht nur ein Randaspekt der Gerätetechnik. Mit dem Bundesamt für
Sicherheit in der Informationsverarbeitung (BSI) verfügt der Bund in diesem Bereich über
einen Kompetenzträger, der im übrigen, anders als die PTB, sogar dem BMI direkt unterstellt
16
Physikalisch-Technische Bundesanstalt: Jahresbericht 2001, Braunschweig und Berlin (2002) , S. 124,
http://www.ptb.de/de/publikationen/jahresberichte/_jb2001.html
Seite 11 von 15
ist. Es ist nur schwer verständlich, warum das BMI fortgesetzt darauf verzichtet, sich vom
BSI zum Thema Wahlcomputer beraten zu lassen.
7. Ergebnisse der Irischen Kommission für elektronische Wahlen
In seiner Stellungnahme erweckt das BMI den Eindruck, als seien die zahlreichen von der
Irischen Commission on Electronic Voting (CEV) monierten und vom Einspruchführer
angeführten Sicherheitsmängel für den Einsatz der Wahlgeräte in Deutschland unerheblich.
Dazu führt das BMI an, dass die in Irland erforderliche zentrale Auswertung der
Stimmenspeicher in Deutschland schon am Wahlgerät selbst erfolge. Deshalb seien die von
der CEV monierten Sicherheitsmängel der Auswertecomputer und Stimmenspeicher für den
Betrieb der Wahlgeräte unerheblich.
Die CEV moniert jedoch nicht nur Sicherheitsmängel bei den Auswertecomputern und bei
den Stimmenspeichern, sondern auch und vor allem bei den Wahlgeräten selbst. Diese
Sicherheitsbedenken gegen die Wahlgeräte selbst gelten für die in Deutschland zum Einsatz
kommenden Geräte in gleichem Maße wie in Irland. Zu den von der CEV monierten
Mängeln an den Wahlgeräten selbst gehört die mangelnde Erkennbarkeit von
Softwaremanipulationen, die schnelle Austauschbarkeit der Softwarechips in Verbindung mit
der mangelhaften Versiegelung der Elektronik, sowie das Fehlen einer geräteunabhängigen
Möglichkeit, das Wahlergebnis zu überprüfen.
Dass die Sicherheitsmängel bei Auswertecomputern und Stimmenspeichern in Irland
schwerwiegendere Folgen haben können als in Deutschland, hat der Einsprechende nicht in
Abrede gestellt. Diese Sicherheitsmängel lassen aber eine Bewertung zu, ob der Hersteller
generell in der Lage ist, wirksame Sicherheitskonzepte zu entwickeln und zu implementieren.
Der Irische Kommissionsbericht erweckt jedenfalls kaum den Eindruck, dass die vom
Hersteller angewandten Sicherheitskonzepte, wie dies von der BWahlGV gefordert wird,
noch dem allgemeinen Stand der Technik entsprechen, oder für den Einsatz bei Systemen mit
schwerwiegenden Schadensfolgen bei Fehlverhalten angemessen sind.
Außerdem führt das BMI an, die auf den Wahlgeräten selbst zum Einsatz kommende
Software sei nur für das Irische Wahlsystem nach dem Prinzip des Single Transferable Vote
geeignet, das in Deutschland nicht zum Einsatz komme.
Dieses Prinzip ähnelt dem bei Kommunalwahlen in einigen Deutschen Bundesländern
üblichen Panaschieren. Es ist daher nicht anzunehmen, dass die in Irland zum Einsatz
kommende Software stärker von der bei den Bundestagswahlen eingesetzten Software
unterscheidet als z.B. diejenige, die bei den Kommunalwahlen in Hessen eingesetzt wird.
Insbesondere dürften die in verschiedenen Staaten und bzw. Bundesländern zum Einsatz
kommende Software sich in ihren Sicherheitsmerkmalen kaum unterscheiden. Auch ist nicht
erkennbar, wie die Unterschiede im Wahlsystem sich auf die Manipulationssicherheit der
Wahlgeräte oder das Fehlen einer geräteunabhängigen Überprüfbarkeit des Wahlergebnisses
auswirken sollten.
Die Notwendigkeit eines international weitgehend identischen Softwarekerns, der in den
jeweiligen Einsatzgebieten nur noch gering an lokale Anforderungen angepasst wird, ergibt
sich für den Hersteller schon aus Gründen der Ökonomie und der Wartbarkeit der Software.
Der Hersteller hat gegenüber der CEV jedenfalls den Einsatz der Geräte in Deutschland als
Referenz angegeben und kann nun nicht behaupten, es handele sich um nicht vergleichbare
Geräte- und Softwaretypen.
Seite 12 von 15
Das BMI wäre gut beraten, den Irischen Bericht ernst zu nehmen. In einer solchen Diskussion
kann die PTB nicht als neutraler Gutachter angesehen werden, da die Ergebnisse der CEV
nicht nur die Prüfergebnisse der PTB infrage stellen, sondern auch das von der PTB
entwickelte Prüfkonzept. Die Sorgfaltspflicht hätte es geboten, die Gründe für die
unterschiedliche Bewertung der Gerätesicherheit durch PTB und CEV festzustellen. Es gibt
keinerlei Hinweise, dass das BMI sich bemüht hätte, diese Diskrepanzen aufzuklären. Im
Gegenteil entsteht der Eindruck, dass das BMI dankbar die Argumente des Herstellers
aufgenommen hat, warum die Monita der CEV in Deutschland keine Beachtung finden
sollten.
8. Amtlichkeit
Zwar bestätigt das BMI die Auffassung des Einsprechenden, die mit der Wahldurchführung
betrauten Wahlorgane müssten die Kontrolle über Handlungen wahren, die Privaten im
Rahmen der Wahlvorbereitung und Durchführung übertragen werden. Erstaunlicherweise
mag das BMI der Wahl keinen amtlichen Charakter zubilligen.
Dazu führt das BMI aus, es genüge zur Einhaltung dieses Prinzips seit jeher, dass die
Behörde das beauftrage Unternehmen als vertrauenswürdig einstufe. Das gelte auch für die
Herstellung, Wartung und Überprüfung der Wahlgeräte. Eine Überprüfung jedes einzelnen
Wahlgerätes mache den Einsatz der Wahlgeräte zudem unrentabel. Das BMI führt in diesem
Zusammenhang wiederum das unzutreffende Argument an, eine Manipulation der Geräte sei
praktisch schon dadurch ausgeschlossen, dass die Geräte selber lediglich die Basisdaten des
Bundestagswahlsystems enthielten, nicht jedoch die Stimmvorschläge. Deshalb sei eine
besondere amtliche Überprüfung der einzelnen Wahlgeräte weder erforderlich noch zu
rechtfertigen.
Zwar müssen die Wahlorgane Wartungsarbeiten an den Wahlgeräten nicht selbst ausführen.
Eine Sachherrschaft über den Wahlablauf kann durch Vertrauen alleine allerdings nicht
hergestellt werden. Die Wahlorgane haben durch angemessene Kontrollen jederzeit
sicherzustellen, dass das Vertrauen in beauftrage Unternehmen auch gerechtfertigt ist.
Es ist der Bedeutung der Wahl für die demokratische Legitimation des Parlaments jedoch
nicht angemessen, dass die Wahlorgane es unterlassen, neu angeschaffte, gemietete oder
gewartete (und deshalb möglicherweise veränderter) Wahlgeräte auf ihre
Manipulationsfreiheit hin zu untersuchen. Dies gilt insbesondere, weil Manipulationen an den
Wahlgeräten, wie auch vom BMI eingestanden, von den Kreiswahlbehörden und den
Wahlvorständen im Stimmlokal nicht erkannt werden können. Auch kann diese Kontrolle
nicht dem Hersteller selbst überlassen werden, weil dieser sich dann selbst kontrollieren
würde. Ein nicht auf Kontrolle basierendes Vertrauen in die Zuverlässigkeit des
Geräteherstellers ist hier insbesondere deshalb nicht angemessen, weil eine
geräteunabhängige Kontrolle der Integrität der Wahl nicht möglich ist. Hier wird die
Sachherrschaft über den Wahlablauf völlig aufgegeben.
Das in diesem Zusammenhang vom BMI angeführte Kostenargument ist hier unangebracht.
Die mit der Einführung der Geräte verbundene Kostenersparnis bei der Wahldurchführung ist
eines der Hauptargumente für die Anschaffung der Geräte, deshalb müssen sich die Geräte
auch an den entstehenden Kosten messen lassen. Es ist nicht akzeptabel, wenn die mit dem
Einsatz verbundene vorgebliche Kosteneinsparung nur durch eine Kompromittierung von
Wahlrechtsgrundsätzen erreicht werden kann.
Seite 13 von 15
Das BMI erwähnt zahlreiche Tests, die von der Kreiswahlbehörde im Rahmen der
Wahlvorbereitung und vom Wahlvorstand im Wahllokal vor Beginn des Wahlgangs
durchgeführt werden.
Diese Tests sind jedoch nicht geeignet, Manipulationen an der installierten Software zu
erkennen. Die Tests stellen im wesentlichen sicher, dass nicht versehentlich Wahlgeräte einer
anderen als der zugelassenen Bauart eingesetzt werden, und dass nicht versehentlich ein
Stimmmodul eingesetzt wird, das nicht oder für ein anderen Wahlkreis konfiguriert worden
ist. Außerdem sind die Tests geeignet, etwa durch Transportschäden verursachte technische
Störungen zu entdecken. Deshalb stellen die Funktionstests der einzelnen Wahlgeräte keinen
angemessenen Schutz vor Manipulationen dar. Sie sind unverzichtbar, um einen
reibungslosen Wahlablauf zu gewährleisten, sind jedoch nicht hinreichend, um eine
Sachherrschaft der Wahlorgane über die Wahlen herzustellen.
9. Mandatsrelevanz
Das BMI führt aus, der Einsprechende habe keine konkrete Hinweise auf gezielte
Manipulationen oder unbeabsichtigte Veränderungen dargebracht und begründe seinen
Einspruch nur auf einer theoretischen Manipulierbarkeit. Eventuelle Wahlfehler seinen
deshalb nicht mandatsrelevant.
Diese Ansicht des BMI ist unzutreffend. Durch die Verwendung der Wahlgeräte wird eine
wirksame Kontrolle des Wahlablaufs verhindert. Insbesondere verhindern die Wahlcomputer
durch ihre Konstruktion jede geräteunabhängige Überprüfung des Wahlvorgangs und des
Wahlergebnisses. Ein Nachweis, dass eine gezielte Manipulation oder eine unbeabsichtigte
Veränderung stattgefunden hat, ist dem Einsprechenden deshalb von vornherein verwehrt.
Das Zustandekommen des mit Nedap-Geräten ermittelten Wahlergebnisses entzieht sich
ebenso wie eine geheime Auszählung der öffentlichen Kontrolle. Da die Geräte zudem
beleglos arbeiten, ist nicht einmal ein Nachzählen möglich – die Ergebnisermittlung
entspricht also einer geheimen Auszählung, bei der anschließend nur eine Auflistung der
Stimmen aufbewahrt wird. Dabei spielt es keine Rolle, wie sicher die Auflistung der
Stimmen (oder der elektronischen Stimmenspeicher) anschließend aufbewahrt wird, oder ob
sich die aufgelisteten Stimmen einzeln ausdrucken und manuell nachzählen lassen: Die
tatsächlich abgegebenen Stimmen lassen damit nicht mehr belegen. Damit wird jeder
nachtägliche Nachweis einer Manipulation unmöglich. Ein solcher Nachweis kann deshalb
auch nicht verlangt werden.
Das BMI führt aus, bei einer Verletzung des Öffentlichkeitsgrundsatzes sei festzustellen, ob
bei einer uneingeschränkten Öffentlichkeit Wahlorgane Entscheidung anders getroffen
hätten, die im Ergebnis zu einer Mandatsverschiebung geführt hätten, und bezieht sich dabei
auf eine Entscheidung des Bundesverfassungsgerichtes (BVerfGE 89, 291,304). Das
angeführte Urteil bezieht sich jedoch nicht auf eine Verletzung des Öffentlichkeitsprinzips
während des Wahlgangs und der Stimmauszählung, sondern auf die Verletzung des
Öffentlichkeitsprinzips bei der Wahlvorbereitung. Bei einer Verletzung Öffentlichkeit des
Wahlgangs und der Stimmauszählung kann nicht davon ausgegangen werden, dass dies ohne
Einfluss auf das Wahlergebnis geblieben ist.
Das Bundesarbeitsgericht hat in einem Urteil zu einer Betriebsratswahl (7 ABR 53/99)
festgestellt, dass bei einem Verstoß gegen das Gebot der öffentlichen Stimmenauszählung
nicht angenommen werden kann, dass die Wahl ohne den Verstoß zu demselben Ergebnis
geführt hätte. Das BAG stellt in dem Urteil ausdrücklich fest, dass es nicht darauf ankomme,
Seite 14 von 15
ob tatsächlich objektive Anhaltspunkte für solche Fehler vorliegen. Diese Auffassung hatte
das BAG auch zuvor schon vertreten (BAGE 86 (1997) 117-122). Es ist nicht hinnehmbar,
dass bei einer Bundestagswahl für die öffentliche Kontrolle niedrigere Standards als bei einer
Betriebsratswahl gelten sollen.
10. Schlussbemerkung
In den kommenden Jahren werden auch die Regierungen in totalitären Staaten begreifen,
welches Potential in Wahlcomputern steckt, wenn diese (wie dies bei den Nedap-Geräten der
Fall ist) keine geräteunabhängige Kontrolle des Wahlergebnisses zulassen. Durch die
Verwendung einer manipulierten Software kann sich eine solche Regierung dann ein
genehmes Wahlergebnis schaffen. Die manipulierte Software könnte eine solche Regierung
auf Grundlage des Quellcodes entwickeln, den sie sich zuvor im Rahmen des
Zulassungsverfahren der Geräte vom Hersteller hat vorlegen lassen.
Solche Manipulationen sind für Wähler oder Wahlbeobachter weder erkennbar noch
nachweisbar. Es gehört zum Wesen solcher Manipulationen, dass die beteiligten Regierungen
sich anschließend eine ordnungsgemäße Wahldurchführung selbst bescheinigen.
Der Einsatz von Wahlgeräten, die eine unabhängige Überprüfung des Wahlergebnisses
apparativ vereiteln, verletzt das Demokratieprinzip erheblich und entzieht dem gewählten
Gremium die demokratische Legitimation. Ein solcher Einsatz ist deshalb in einem
demokratischen Staat wie der Bundesrepublik Deutschland inakzeptabel.
Neu-Isenburg, den 19.06.2006
Seite 15 von 15